对抗样本是指在原始样本的基础上进行细微修改所形成的样本,旨在欺骗预训练分类模型的输出结果,与此同时,保持原始样本与对抗样本之间的相似性。对抗样本能够导致深度神经网络产生误分类,从而为人工智能领域若干应用带来极大风险。研究表明,即使是高置信度的模型也会被对抗样本轻易地攻破。研究对抗样本生成方法能够为安全风险的防范提供借鉴。因此,对抗样本的研究具有重要的科学意义。对抗样本生成方法分为单样本对抗扰动生成算法和通用扰动生成算法。单样本对抗扰动生成算法,在跨模型迁移方面存在诸多缺陷,导致对抗样本对黑盒模型的误分类能力不足;通用扰动生成算法是单样本对抗扰动生成算法的扩展,虽然其生成对抗样本较为高效,但算法需要以大量的标注数据为前提,从而限制了其应用范围。针对上述问题,本文旨在研究对抗样本的生成方法,具体从提升单样本对抗扰动生成算法生成的对抗样本在黑盒模型中的误分类能力,以及在少量标注数据下的通用扰动生成两个方面开展研究工作,主要工作如下:（1）提出了一种基于模拟退火的对抗样本生成方法。由于使用同一数据集训练的多个预训练模型之间具有相似而不完全一致的决策边界,因此,位于当前模型局部最小值或者鞍点的对抗样本可能仅仅对当前模型有效,难以迁移到黑盒模型。为了提升对抗样本在黑盒模型的可迁移性,将模拟退火算法整合到对抗样本的生成过程中,提出了一种基于模拟退火的对抗样本生成方法。该方法利用随机游走策略,一定程度上优化了对抗样本中存在的局部最小值和鞍点,有助于发现可迁移性更强的对抗样本。研究结果表明,该方法在黑盒模型中提升了约10%的攻击成功率。（2）发现了模型倾向性现象。从实验结果中发现,将同一原始样本输入到使用相同数据集训练的多个模型时,多个模型均倾向于生成几乎相同错误类别的对抗样本,从而说明对抗样本的攻击能力和可迁移性并非完全负相关,为黑盒模型中攻击成功率的提升提供了理论支撑。（3）提出了一种改进的通用扰动生成算法。现有的通用扰动生成算法更加关注图像的语义标签对通用扰动生成过程的影响,忽视了预训练模型本身对数据集拟合的不完备,对于预训练模型本身分类出错的原始样本不具有优化能力。为了减少算法对标注数据的依赖性并提升对抗样本的误分类能力,该算法利用自监督的方式,通过挖掘无标注数据的隐含信息来生成通用扰动,进一步增强了通用扰动算法的适应性。